RGPD et psychologue : les obligations à connaître
Le Règlement Général sur la Protection des Données (RGPD) s'applique à tous les psychologues qui traitent des informations sur leurs patients, ce qui est à peu près… tous les psychologues.
Les données de santé : un statut renforcé
Les données que vous collectez (identité, coordonnées, notes cliniques, résultats de tests) sont des données particulières au sens de l'article 9 du RGPD. Leur traitement est interdit par principe, sauf exception — notamment le consentement explicite de votre patient ou la nécessité du suivi de soins.
Les obligations concrètes
1. Le registre des traitements
Vous devez tenir un registre qui liste tous les traitements que vous effectuez sur des données personnelles (consultations, dossiers, facturation, messagerie). Un tableau simple suffit, mais il doit exister.
2. L'information du patient
Lors de la première consultation, vous devez informer votre patient :
- De l'identité du responsable du traitement (vous)
- De la finalité (suivi thérapeutique)
- De la durée de conservation (généralement 20 ans pour un dossier psychologique)
- De ses droits (accès, rectification, effacement, portabilité)
3. Le droit à l'effacement
Votre patient peut demander la suppression de ses données. Vous devez pouvoir l'effectuer, sauf si vous êtes soumis à une obligation de conservation légale (ce qui est rarement le cas en psychologie libérale).
4. Les sous-traitants
Si vous utilisez un logiciel de cabinet, c'est un sous-traitant au sens du RGPD. Vous devez signer avec lui un contrat de traitement des données (DPA) qui précise ses obligations. Exigez toujours que votre prestataire hébergeant vos données soit certifié HDS.
5. La notification en cas d'incident
En cas de faille de sécurité (perte, vol, accès non autorisé), vous devez notifier la CNIL dans les 72 heures et, selon la gravité, informer les patients concernés.
Le cas particulier de l'intelligence artificielle
Si votre logiciel utilise de l'IA pour vous aider (rédaction, synthèses), assurez-vous :
- Que les données sont anonymisées avant tout envoi vers un fournisseur d'IA
- Que le fournisseur est contractuellement lié à un DPA
- Que vous avez le choix de désactiver l'IA par patient
En pratique
La CNIL propose un guide du praticien très clair. N'hésitez pas à vous y référer. Et choisissez un logiciel qui fait la moitié du travail à votre place.